マイクロソフトの.NETアカウントの管理システムにアカウントが簡単に乗っ取れる重大なセキュリティホールが発見された。具体的には特定のURLを開くことにより、被害者のアカウントのパスワードを再設定するためのURLが攻撃者の指定する任意のメールアドレスに送られてしまう、というものだ。この様にパスワードが再設定されれば、攻撃者はそのパスワードを使って、アカウントを完全に手中に納めたことになり、アカウントの悪用だけでなく、もし保存されていれば、被害者の誕生日やクレジットカードといった個人情報すらも盗めてしまう。特筆すべきはHotmailがこの.NETアカウントを使っていて、Hotmailユーザはメールも読まれてしまうことだ。
発見者は何度もマイクロソフトやHotmailにコンタクトをとろうとしたが、反応が得られず、Full-Disclosureメーリングリストに詳細を投稿した。手口があまりにも簡単なことから、大きな被害が予想される。もし、こんなもんを使っていたら、いますぐ個人情報を削除すべきだ。